Защита персональных данных

1. Общие положения
1.1. Цель Политики
Настоящая Политика устанавливает общие принципы управления и правила, применяемые в рамках деятельности Tata Agro Moto S.R.L. («Компания»), для обеспечения защиты персональных данных, обрабатываемых в ходе ее деятельности.
Целью настоящей Политики является обеспечение законной, добросовестной, прозрачной и безопасной обработки персональных данных, а также организация деятельности Компании в соответствии с применимым законодательством о защите персональных данных.
Настоящая Политика устанавливает общие принципы и правила, а подробные процедуры и инструкции, касающиеся отдельных видов обработки персональных данных, определяются отдельными внутренними документами.

1.2. Сфера применения
Политика распространяется на все виды деятельности Компании, в рамках которых осуществляется обработка персональных данных, независимо от формы их хранения или обработки — в электронном виде, на бумажных носителях или с использованием других средств.
Политика распространяется на всех работников, сотрудников и иных лиц, которые в рамках выполнения своих обязанностей для Компании имеют доступ к персональным данным.
Лица, осуществляющие обработку персональных данных от имени Компании, обязаны соблюдать настоящую Политику и применимые внутренние инструкции.

2. Правовая база
Обработка персональных данных осуществляется с соблюдением законодательства Республики Молдова о защите персональных данных, включая Закон № 195/2024 о защите персональных данных, а также другие нормативные акты, применимые к деятельности Компании.
В случае если деятельность Компании подпадает под действие дополнительных требований, предусмотренных специальным законодательством, такие требования применяются соответствующим образом.

3. Принципы защиты персональных данных
Компания организует обработку персональных данных на основе следующих принципов:

3.1. Законность, добросовестность и прозрачность
Персональные данные обрабатываются на соответствующем правовом основании, добросовестно и прозрачно по отношению к субъекту персональных данных.
Лица, персональные данные которых обрабатываются, информируются, в объеме, предусмотренном законодательством, о целях и условиях обработки данных.

3.2. Ограничение целей обработки
Данные собираются для конкретных, четко определенных и законных целей и не используются в дальнейшем способом, несовместимым с этими целями.

3.3. Минимизация данных
Компания собирает и обрабатывает только те данные, которые являются надлежащими, относящимися к делу и необходимыми для достижения целей, для которых они обрабатываются.

3.4. Точность данных
Компания прилагает разумные усилия для обеспечения точности и актуальности обрабатываемых данных, когда это необходимо.
Неточные данные исправляются или удаляются на условиях, предусмотренных законодательством.

3.5. Ограничение сроков хранения
Персональные данные не хранятся дольше, чем это необходимо для достижения целей их обработки, с соблюдением установленных законом обязательств по хранению данных.
Подробные правила, касающиеся сроков хранения и удаления данных, устанавливаются отдельными внутренними документами.

3.6. Целостность и конфиденциальность
Компания применяет соответствующие меры для защиты данных от несанкционированного доступа, утраты, уничтожения, изменения, разглашения или иных форм несанкционированной обработки.

3.7. Ответственность
Компания несет ответственность за соблюдение принципов защиты персональных данных и должна иметь возможность подтвердить, в пределах, предусмотренных законодательством, соответствие осуществляемой ею обработки данных установленным требованиям.

4. Управление защитой персональных данных
Защита персональных данных является организационной обязанностью Компании.
Руководство Компании обеспечивает необходимые условия для соблюдения требований в области защиты персональных данных и распределяет обязанности между лицами, участвующими в процессах обработки данных.
Обязанности в области защиты персональных данных распределяются с учетом должностных функций и фактического уровня доступа лиц к персональным данным.
Каждый работник или сотрудник, имеющий доступ к персональным данным, несет ответственность за их использование исключительно в пределах своих должностных обязанностей, с соблюдением законодательства и внутренних правил Компании.

5. Определение правового основания обработки персональных данных
До сбора и использования персональных данных Компания определяет соответствующее правовое основание для осуществления обработки.
В зависимости от конкретной ситуации обработка может осуществляться на следующих правовых основаниях, предусмотренных законодательством:

• согласие субъекта персональных данных;
• исполнение договора или совершение действий по запросу субъекта персональных данных;
• выполнение юридического обязательства;
• защита жизненно важных интересов;
• выполнение задачи, представляющей общественный интерес, или осуществление публичных полномочий;
• законный интерес Компании или третьего лица при соблюдении установленных законодательством условий.

Согласие не запрашивается автоматически при осуществлении любой обработки персональных данных. До получения согласия проверяется наличие другого применимого правового основания.

В случае если обработка осуществляется на основании согласия, оно должно соответствовать установленным законодательством требованиям: быть добровольным, конкретным, информированным и однозначным.

6. Информирование субъектов персональных данных
Компания обеспечивает информирование лиц, персональные данные которых собираются и обрабатываются, на условиях и в объеме, предусмотренных применимым законодательством.
Информирование осуществляется в ясной, доступной и понятной форме.

Компания может использовать информационные уведомления, политики конфиденциальности, договорные положения, формы и другие соответствующие средства для выполнения обязанности по информированию субъектов персональных данных.

7. Доступ к персональным данным
Доступ работников и сотрудников к персональным данным предоставляется с учетом их должностных обязанностей и служебной необходимости.
Запрещается получать доступ к данным, копировать, использовать или передавать их в личных целях либо в целях, отличных от тех, для которых был предоставлен доступ.
Персональные данные не могут передаваться другим лицам без наличия соответствующего правового основания и законной необходимости такой передачи.

8. Обработка данных третьими лицами
В случаях, когда Компания пользуется услугами третьих лиц, предполагающими доступ к персональным данным, она оценивает роль такого третьего лица и условия, на которых осуществляется обработка данных.
Если третье лицо выступает в качестве лица, уполномоченного на обработку персональных данных, отношения между Компанией и таким лицом регулируются в соответствии с применимыми требованиями законодательства.
Третьи лица, имеющие доступ к данным, обязаны обеспечивать надлежащий уровень конфиденциальности и безопасности.

9. Передача и разглашение данных
Персональные данные могут передаваться другим лицам, органам, учреждениям или организациям только при наличии соответствующего правового основания.
При передаче данных внешним получателям Компания, в зависимости от обстоятельств, проверяет цель передачи, категорию передаваемых данных и необходимость такой передачи.
Передача данных получателям, находящимся за пределами Республики Молдова, осуществляется с соблюдением применимых законодательных требований, регулирующих передачу персональных данных.

10. Безопасность данных
Компания применяет соответствующие технические и организационные меры для обеспечения уровня безопасности, соответствующего рискам, связанным с обработкой персональных данных.
Такие меры могут включать, в зависимости от обстоятельств:

• контроль доступа к системам и документам;
• использование соответствующих паролей и средств аутентификации;
• ограничение доступа к данным в зависимости от должностных обязанностей лиц;
• защиту документов на бумажных носителях;
• защиту оборудования и информационных систем;
• создание резервных копий при необходимости;
• меры по предотвращению утраты или несанкционированного разглашения данных;
• обучение лиц, осуществляющих обработку персональных данных;
• иные меры, соразмерные выявленным рискам.

Конкретные меры безопасности устанавливаются и обновляются с учетом характера и объема данных, целей обработки, выявленных рисков, а также технических и организационных возможностей Компании.

11. Конфиденциальность
Лица, которые в рамках выполнения своих должностных обязанностей имеют доступ к персональным данным, обязаны обеспечивать их конфиденциальность.
Запрещается разглашать данные неуполномоченным лицам или использовать их в личных интересах.
Обязанность по соблюдению конфиденциальности сохраняется и после прекращения трудовых или иных отношений сотрудничества в объеме, предусмотренном законодательством и принятыми на себя обязательствами.

12. Права субъектов персональных данных
Компания соблюдает права субъектов персональных данных, предусмотренные применимым законодательством, включая право на доступ, исправление, удаление данных, ограничение обработки, возражение против обработки, а также иные права, применимые в зависимости от конкретной ситуации.
Запросы субъектов персональных данных рассматриваются и обрабатываются в сроки и на условиях, предусмотренных законодательством.
Подробная процедура рассмотрения и обработки запросов субъектов персональных данных устанавливается отдельным внутренним документом.

13. Учет и документирование деятельности по обработке персональных данных
Компания ведет необходимую документацию и учетные записи для подтверждения соответствия деятельности по обработке персональных данных требованиям законодательства.
В зависимости от осуществляемой деятельности такая документация может включать:

• учет деятельности по обработке персональных данных;
• внутренние реестры и формы;
• информационные уведомления;
• соглашения и положения об обработке персональных данных;
• оценки рисков;
• оценки воздействия на защиту персональных данных, когда это необходимо;
• документы, касающиеся инцидентов безопасности;
• иные соответствующие документы.

Документы и учетные записи обновляются при возникновении существенных изменений в деятельности Компании.

14. Управление рисками
Компания выявляет и оценивает, в объеме, соответствующем осуществляемой ею деятельности, риски для прав и свобод физических лиц, возникающие в результате обработки персональных данных.
Меры защиты устанавливаются пропорционально уровню выявленного риска.
В случае осуществления видов обработки, которые могут повлечь высокий риск, Компания проводит оценки, предусмотренные применимым законодательством, до начала обработки, если такие оценки являются обязательными.

15. Нарушение безопасности персональных данных
О любой утрате, уничтожении, изменении, разглашении персональных данных или несанкционированном доступе к ним необходимо незамедлительно сообщать лицу, ответственному за это направление и назначенному Компанией.
Инциденты оцениваются и обрабатываются в соответствии с внутренней процедурой управления инцидентами безопасности.
В случае если законодательство предусматривает обязанность уведомления компетентного органа или информирования субъектов персональных данных, Компания принимает необходимые меры в сроки, установленные законодательством.

16. Обучение и повышение осведомленности персонала
Компания обеспечивает информирование и, при необходимости, обучение лиц, осуществляющих обработку персональных данных, относительно возложенных на них обязанностей.
Работники и сотрудники Компании должны знать и соблюдать применимые внутренние правила обработки и защиты персональных данных.
Доступ к данным может предоставляться при условии соблюдения требований безопасности и конфиденциальности, установленных Компанией.

17. Контроль соблюдения требований законодательства
Компания периодически проверяет соблюдение требований в области защиты персональных данных и определяет меры по устранению выявленных несоответствий.
В рамках таких проверок могут анализироваться, в зависимости от обстоятельств:

• соблюдение правовых оснований обработки;
• информирование субъектов персональных данных;
• права доступа к данным;
• меры безопасности;
• соблюдение правил хранения и удаления данных;
• взаимоотношения с лицами, уполномоченными на обработку персональных данных;
• документирование деятельности по обработке персональных данных;
• реализация мер, определенных по результатам оценки рисков.

18. Взаимосвязь с другими внутренними документами
Настоящая Политика устанавливает общие принципы управления защитой персональных данных в рамках деятельности Компании.
Специальные правила и процедуры устанавливаются отдельными внутренними документами, включая, в зависимости от обстоятельств:

• процедуру реализации прав субъектов персональных данных;
• процедуру управления инцидентами безопасности;
• политику хранения и удаления данных;
• инструкции по информационной безопасности;
• правила использования информационных систем и электронных средств связи;
• процедуры управления лицами, уполномоченными на обработку персональных данных;
• иные соответствующие внутренние документы.

В случае противоречия между настоящей Политикой и применимым законодательством применяются положения законодательства.

19. Пересмотр Политики
Настоящая Политика пересматривается периодически, а также каждый раз при возникновении существенных изменений в законодательстве, организационной структуре, деятельности Компании, информационных системах или способах обработки персональных данных.
Изменения в Политику утверждаются руководством Компании.

20. Заключительные положения
Соблюдение настоящей Политики является обязательным для всех лиц, на которых распространяется ее действие.
Нарушение правил защиты персональных данных может повлечь применение дисциплинарных или иных мер, предусмотренных применимым законодательством и внутренними документами Компании.
Настоящая Политика вступает в силу с даты ее утверждения руководством Tata Agro Moto S.R.L.

Утверждено: __________________________
Должность: _______________________________
Имя, фамилия: _________________________
Дата: __________________________________
Подпись: ______________________________